새벽에 거래처 이름으로 메일 한 통이 도착했다고 상상해 보세요. 문장은 매끄럽고, 말투도 늘 주고받던 그대로예요. 첨부된 견적서만 열어 보면 될 것 같은데, 보낸 주소의 알파벳 하나가 미묘하게 달라요. 예전 같으면 어색한 번역투가 먼저 경고를 보내 줬겠지만, 이제는 그런 단서조차 사라지고 있어요.
과학기술정보통신부와 KISA가 2026년 사이버 위협의 핵심으로 주목한 것도 바로 이 지점이에요. 생성형 AI가 공격을 돕는 도구를 넘어, 공격의 전 과정을 자동화하는 단계로 퍼질 수 있다는 경고예요. 크로스디자인랩도 병·의원 홈페이지를 운영하는 입장에서 이 경고를 가볍게 넘기기 어려웠어요.
자동화된 AI 공격은 무엇이 다를까요?
자동화 스크립트나 봇은 예전에도 있었어요. 달라진 건 AI가 상황을 해석하고, 문장을 만들고, 코드와 공격 절차까지 생성할 수 있다는 점이에요. 공개된 정보를 모아 조직 구조를 분석하고, 약한 서버 후보를 찾고, 맞춤형 피싱 메일을 쓰고, 탐지를 피하도록 코드를 바꾸는 일이 한 흐름으로 이어질 수 있어요.
| 비교 | 기존 자동화 공격 | AI가 더해진 공격 |
|---|---|---|
| 작동 방식 | 정해진 스크립트 반복 | 상황에 맞춰 생성·조정 |
| 피싱 문구 | 어색하고 비슷함 | 직무와 상황을 반영 |
| 악성코드 | 준비된 변종 재사용 | 빠른 변형 가능성 |
| 방어 방식 | 패턴 탐지 중심 | 행위·맥락 분석 필요 |
중요한 건 AI가 공격자를 완전히 대신한다기보다 공격자의 생산성을 끌어올린다는 점이에요. 초보 공격자는 더 쉽게 도구를 만들고, 숙련된 공격자는 더 빠르고 정교한 작전을 짤 수 있어요.
KISA는 어떤 흐름을 경고했을까요?
AI는 공격의 단계마다 끼어들 수 있어요. 공개 웹사이트와 채용 공고, 소셜미디어에서 정보를 모아 요약하는 정찰, 취약점 후보와 공격 시나리오를 정리하는 준비, 자연스러운 피싱 메일과 문자, 가짜 안내문을 만드는 사회공학, 코드를 쓰고 바꾸는 악성코드 작업, 그리고 탈취한 문서를 분류하고 협상 문구를 쓰는 단계까지요.
가장 현실적인 위협은 피싱과 사칭이에요. 임원, 거래처, 공공기관, 금융기관의 말투를 흉내 낸 메시지가 더 자연스러워지고, 음성 합성이나 딥페이크가 더해지면 전화와 영상회의까지 공격 통로가 넓어져요. 공개된 취약점을 악용하려는 시도는 더 빨라질 수 있고, 랜섬웨어 조직은 탈취한 파일 가운데 무엇으로 압박할지를 자동으로 고를 수 있어요. 파일 하나의 패턴만 보는 방식으로는 한계가 커지는 이유예요.
조직은 무엇부터 점검하면 좋을까요?
새 솔루션 하나로 해결되는 문제는 아니에요. 기술과 절차, 사람, 데이터 관리가 함께 움직여야 해요.
- 내부라도 그냥 믿지 않는 제로트러스트 원칙으로, 관리자 권한은 최소 인원에게만 줘요.
- 퇴사자와 외주 인력 계정을 정기적으로 정리하고, 중요 시스템에는 다중인증을 적용해요.
- 낯선 국가·시간대 로그인, 반복되는 인증 실패, 대량 다운로드, 권한 상승 같은 신호를 조기 경보로 써요.
- 생성형 AI에 넣어도 되는 정보와 안 되는 정보를 구분하고, 승인된 도구만 쓰도록 안내해요.
- AI가 만든 코드와 문서는 보안 검토를 거치게 해요.
보안 솔루션을 고를 때도 'AI'라는 이름보다 어떤 데이터를 분석하는지, 오탐을 어떻게 줄이는지, 사고가 났을 때 추적할 수 있는 로그를 남기는지를 보는 게 좋아요.
훈련도 바뀌어야 해요. 피싱 메일로 계정이 털리고, 클라우드에서 파일이 빠져나가고, 협박이 이어지는 흐름을 실제처럼 연습해 보면, 기술팀과 법무팀, 홍보팀, 경영진이 각자 무엇을 해야 하는지 분명해져요.
이 소식이 병·의원 홈페이지에는 어떤 의미일까요?
병·의원은 환자의 민감한 정보를 다루는 곳이에요. 홈페이지 하나에도 관리자 계정, 상담 신청 폼, 예약 정보가 연결돼 있는 경우가 많아요. 병원 홈페이지 제작 전문 에이전시로 일하다 보면, 오래전 퇴사한 직원의 관리자 계정이 그대로 살아 있거나, 업데이트하지 않은 플러그인이 쌓여 있는 사이트를 생각보다 자주 만나요. 자동화된 공격은 바로 이런 빈틈을 빠르게 찾아내요.
그래서 관리자 계정에 다중인증을 켜고, 담당자가 바뀌면 권한을 바로 정리하고, 보안 업데이트를 미루지 않는 기본기가 가장 큰 방어가 돼요. 환자 정보가 담긴 문서를 외부 생성형 AI에 넣지 않는 원칙도 꼭 정해 두시면 좋아요. 하나 더, 홈페이지에 병원의 공식 연락 채널을 분명히 적어 두면 사칭 메시지를 받은 환자가 스스로 확인할 수 있는 기준이 돼요. 크로스디자인랩이 병원 홈페이지 제작 전문 팀으로서 홈페이지 제작 단계부터 권한 구조와 업데이트 계획을 함께 설계하는 이유예요.
개인은 어떤 습관을 들이면 좋을까요?
메시지가 자연스럽다고 믿을 수 있는 시대는 지났어요. 의심보다 검증을 습관으로 만드는 게 좋아요. 공격자가 AI를 쓰더라도 최종 목표는 계정 탈취인 경우가 많고, 비밀번호 하나를 여러 곳에 쓰면 한 곳의 유출이 연쇄 피해로 번질 수 있어요.
문자나 메신저 링크는 바로 누르지 말고, 공식 앱이나 웹사이트를 직접 열어 확인해 보세요. 인증번호는 누구에게도 전하지 않고, 가족이나 지인의 급한 송금 요청은 전화로 다시 확인해요. 원격제어 앱 설치를 요구하면 사기 가능성을 먼저 떠올려 보세요. 중요한 계정은 서로 다른 비밀번호와 다중인증으로 지키고, 보안 관련 정보는 KISA 보호나라나 정부 공식 사이트, 이용 중인 서비스의 공식 공지에서 확인하는 게 안전해요.
지금 해 볼 수 있는 일
공격자가 AI를 쓰는 시대에는 방어도 속도와 검증이 핵심이에요. 거창한 프로젝트보다 계정, 권한, 업데이트, 사용 정책 같은 기본을 오늘 점검하는 게 먼저예요.
원장님과 실무자분들께는 이번 주 안에 홈페이지 관리자 계정 목록을 한 번 열어 보시길 권해 드려요. 지금 일하지 않는 사람의 계정이 남아 있지 않은지, 다중인증이 켜져 있는지만 확인해도 큰 걸음이에요. 크로스디자인랩은 병원 홈페이지 제작 전문 경험으로 그 점검을 함께해 드려요.
